(57)【要約】  ＬＡＮ（１０１）と通信を行う第１通信ＩＦ部（１２１）と、ＷＡＮ（１０２）と通信を行う第２通信ＩＦ部（１２２）と、第１通信ＩＦ部（１２１）の動作モードとして、予め定められた宛先のパケットを取り込む第１モード及び宛先に係わらず全てのパケットを取り込む第２モードの何れか一方のモードを設定する第１通信ＩＦ設定部（１２３）と、第２通信ＩＦ部（１２２）の動作モードとして、第１モード及び第２モードの何れか一方のモードを設定する第２通信ＩＦ設定部（１２４）と、第１通信ＩＦ部（１２１）及び第２通信ＩＦ設定部（１２４）で取り込まれたパケットの数から、ＬＡＮ（１０１）又はＷＡＮ（１０２）のトラフィックの異常を検知する異常検知部（１４０）とを備える。
2018229931.tif 000002
【特許請求の範囲】
【請求項１】
第１ネットワーク及び第２ネットワークとの間のプロトコルの変換を行うゲートウェイ装置であって、
前記第１ネットワークと通信を行う第１通信インタフェース部と、
前記第２ネットワークと通信を行う第２通信インタフェース部と、
前記第１通信インタフェース部の動作モードとして、予め定められた宛先のパケットを取り込む第１モード及び宛先に係わらず全てのパケットを取り込む第２モードの何れか一方のモードを設定する第１モード設定部と、
前記第２通信インタフェース部の動作モードとして、前記第１モード及び前記第２モードの何れか一方のモードを設定する第２モード設定部と、
前記第１通信インタフェース部及び前記第２通信インタフェース部で取り込まれたパケットの数から、前記第１ネットワーク又は前記第２ネットワークのトラフィックの異常を検知する異常検知部と、を備えること
を特徴とするゲートウェイ装置。
【請求項２】
前記異常検知部は、前記第１ネットワーク及び前記第２ネットワークのトラフィック負荷が予め定められた負荷以下である場合に、前記第１モードを適用モードとして選択し、前記トラフィック負荷が前記予め定められた負荷よりも大きい場合に、前記第２モードを前記適用モードとして選択し、
前記第１モード設定部は、前記適用モードを、前記第１通信インタフェース部の動作モードとして設定し、
前記第２モード設定部は、前記適用モードを、前記第２通信インタフェース部の動作モードとして設定すること
を特徴とする請求項１に記載のゲートウェイ装置。
【請求項３】
前記第１通信インタフェース部及び前記第２通信インタフェース部で取り込まれたパケットを記憶する記憶部をさらに備えること
を特徴とする請求項１又は２に記載のゲートウェイ装置。
【請求項４】
前記第１通信インタフェース部及び前記第２通信インタフェース部で取り込まれたパケットの一部を記憶する記憶部をさらに備えること
を特徴とする請求項１又は２に記載のゲートウェイ装置。
【請求項５】
第１ネットワーク及び第２ネットワークとの間のプロトコルの変換を行うゲートウェイ装置、並びに、第１ネットワーク及び第２ネットワークのトラフィックの異常を検知する検知装置、を備えるネットワークシステムであって、
前記ゲートウェイ装置は、
前記第１ネットワークと通信を行い、予め定められた宛先のパケットを取り込む第１通信インタフェース部と、
前記第２ネットワークと通信を行い、予め定められた宛先のパケットを取り込む第２通信インタフェース部と、
前記第１通信インタフェース部及び前記第２通信インタフェース部で取り込まれたパケットの転送を行う転送部と、を備え、
前記検知装置は、
前記第１ネットワークと通信を行い、宛先に係わらず全てのパケットを取り込む第３通信インタフェース部と、
前記第２ネットワークと通信を行い、宛先に係わらず全てのパケットを取り込む第４通信インタフェース部と、
前記第３通信インタフェース部及び前記第４通信インタフェース部で取り込まれたパケットの数から、前記第１ネットワーク又は前記第２ネットワークのトラフィックの異常を検知する異常検知部と、を備えること
を特徴とするネットワークシステム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ゲートウェイ装置及びネットワークシステムに関し、特に、トラフィックの異常を検知するゲートウェイ装置及びネットワークシステムに関する。
【背景技術】
【０００２】
モノとサービスとをインターネットに統合するＩｏＴ（Ｉｎｔｅｒｎｅｔ  ｏｆ  Ｔｈｉｎｇｓ）が盛んである。ＩｏＴデバイスと呼ばれるモノを、インターネット上のクラウドサービスと連携させることで、ＩｏＴデバイスがクラウドで一元的に管理又は制御される。また、ＩｏＴデバイスから得られる情報が、クラウドで一元的に収集及び蓄積され、さらに、情報の分析又は加工が施され、情報が様々な用途に利用される。ＩｏＴデバイスから得られる情報は、例えば、温度、湿度、照度、電力量及び機器の運転状態等のように様々な情報である。【０００３】
ＩｏＴでは、必ずしも情報通信機器のように、ＷＡＮ（Ｗｉｄｅ  Ａｒｅａ  Ｎｅｔｗｏｒｋ）、インターネット又はクラウドとの通信に適した機器で構成されるとは限らない。【０００４】
このようなＩｏＴデバイスを含むネットワークシステムにおいては、クラウドとの通信を仲介するゲートウェイ装置を導入することにより、ＬＡＮ（Ｌｏｃａｌ  Ａｒｅａ  Ｎｅｔｗｏｒｋ）に配置されたＩｏＴデバイスとクラウドとを連携させることができる。【０００５】
また、有線ＬＡＮ又は無線ＬＡＮを介して接続されないデバイスに対しても、ゲートウェイ装置又はＰＬＣ（Ｐｒｏｇｒａｍａｂｌｅ  Ｌｏｇｉｃ  Ｃｏｎｔｒｏｌｌｅｒ）の様な制御機器を介して、上記のＩｏＴデバイスと同様にクラウドと連携させることができる。【０００６】
ＩｏＴでは、上記のようなデバイスを含むネットワークシステムにおいて、通信トラフィックを把握し、通常と異なることがないか監視することが重要となる。そのために、ネットワークの通信トラフィックをキャプチャするといったことが行われる。【０００７】
例えば、特許文献１に記載されているように、ＬＡＮ又はインターネットと接続して利用される情報通信機器同士の通信をキャプチャし、キャプチャしたパケット又はトラフィックの監視を行うことで、通信の正常性を評価するということが行われる。
【先行技術文献】
【特許文献】
【０００８】
【特許文献１】特開２０１１−１１８６０８号公報
【発明の概要】
【発明が解決しようとする課題】
【０００９】
機能及び性能において情報通信機器のような高い処理能力を有さないという制約があるＩｏＴデバイスでは、通信トラフィックを適切に調整することができないものがある。このため、通信が頻繁に発生し、ネットワーク上のトラフィックをキャプチャする装置の負荷が高くなるという課題がある。【００１０】
そこで、本発明は、ネットワークのトラフィックの異常を検知する装置の負荷を軽減できるようにすることを目的とする。
【課題を解決するための手段】
【００１１】
本発明の一態様に係るゲートウェイ装置は、第１ネットワーク及び第２ネットワークとの間のプロトコルの変換を行うゲートウェイ装置であって、前記第１ネットワークと通信を行う第１通信インタフェース部と、前記第２ネットワークと通信を行う第２通信インタフェース部と、前記第１通信インタフェース部の動作モードとして、予め定められた宛先のパケットを取り込む第１モード及び宛先に係わらず全てのパケットを取り込む第２モードの何れか一方のモードを設定する第１モード設定部と、前記第２通信インタフェース部の動作モードとして、前記第１モード及び前記第２モードの何れか一方のモードを設定する第２モード設定部と、前記第１通信インタフェース部及び前記第２通信インタフェース部で取り込まれたパケットの数から、前記第１ネットワーク又は前記第２ネットワークのトラフィックの異常を検知する異常検知部と、を備えることを特徴とする。【００１２】
本発明の一態様に係るネットワークシステムは、第１ネットワーク及び第２ネットワークとの間のプロトコルの変換を行うゲートウェイ装置、並びに、第１ネットワーク及び第２ネットワークのトラフィックの異常を検知する検知装置、を備えるネットワークシステムであって、前記ゲートウェイ装置は、前記第１ネットワークと通信を行い、予め定められた宛先のパケットを取り込む第１通信インタフェース部と、前記第２ネットワークと通信を行い、予め定められた宛先のパケットを取り込む第２通信インタフェース部と、前記第１通信インタフェース部及び前記第２通信インタフェース部で取り込まれたパケットの転送を行う転送部と、を備え、前記検知装置は、前記第１ネットワークと通信を行い、宛先に係わらず全てのパケットを取り込む第３通信インタフェース部と、前記第２ネットワークと通信を行い、宛先に係わらず全てのパケットを取り込む第４通信インタフェース部と、前記第３通信インタフェース部及び前記第４通信インタフェース部で取り込まれたパケットの数から、前記第１ネットワーク又は前記第２ネットワークのトラフィックの異常を検知する異常検知部と、を備えることを特徴とする。
【発明の効果】
【００１３】
本発明の一態様によれば、予め定められた宛先のパケットを取り込むモードと、宛先に係わらず全てのパケットを取り込むモードとを設定することができるため、ネットワークのトラフィックの異常を検知する装置の負荷を軽減することができる。
【図面の簡単な説明】
【００１４】
【図１】実施の形態１、２及び４に係るネットワークシステムの構成を概略的に示すブロック図である。
【図２】実施の形態１、２及び４に係るゲートウェイ装置の構成を概略的に示すブロック図である。
【図３】実施の形態１におけるトラフィック情報の一例を示す概略図である。
【図４】実施の形態１におけるトラフィック統計情報の一例を示す概略図である。
【図５】実施の形態１におけるトラフィック統計情報の変形例を示す概略図である。
【図６】実施の形態１におけるトラフィック基準情報の一例を示す概略図である。
【図７】実施の形態１におけるトラフィック基準情報の変形例を示す概略図である。
【図８】（Ａ）及び（Ｂ）は、ハードウェア構成例を示す概略図である。
【図９】実施の形態１における第１通信ＩＦ設定部の処理を示すフローチャートである。
【図１０】実施の形態１におけるキャプチャ部及びトラフィック情報集積部の処理を示すフローチャートである。
【図１１】実施の形態１におけるトラフィック解析部及びアラート出力部の処理を示すフローチャートである。
【図１２】実施の形態１におけるトラフィック基準情報及びトラフィック統計情報の比較例を示すグラフである。
【図１３】実施の形態２におけるトラフィック解析部及びアラート出力部の処理を示すフローチャートである。
【図１４】実施の形態２におけるトラフィック解析部が実行するプロミスキャスモードの指定処理を示すフローチャートである。
【図１５】実施の形態３に係るネットワークシステム３００の構成を概略的に示すブロック図である。
【図１６】実施の形態３における第１ゲートウェイ装置の構成を概略的に示すブロック図である。
【図１７】実施の形態３における第２ゲートウェイ装置の構成を概略的に示すブロック図である。
【図１８】実施の形態４におけるトラフィック情報の一例を示す概略図である。
【発明を実施するための形態】
【００１５】
実施の形態１．
図１は、実施の形態１に係るネットワークシステム１００の構成を概略的に示すブロック図である。
ネットワークシステム１００は、第１ＩｏＴデバイス１１０Ａと、第２ＩｏＴデバイス１１０Ｂと、第３ＩｏＴデバイス１１０Ｃと、ゲートウェイ装置１２０とを備える。
なお、第１ＩｏＴデバイス１１０Ａ、第２ＩｏＴデバイス１１０Ｂ及び第３ＩｏＴデバイス１１０Ｃの各々を特に区別する必要がない場合には、ＩｏＴデバイス１１０という。
実施の形態１に係るネットワークキャプチャ方法は、ゲートウェイ装置１２０で行われる。
【００１６】
ゲートウェイ装置１２０は、第１ネットワークであるＬＡＮ１０１を介して、ＩｏＴデバイス１１０と通信を行う。また、ゲートウェイ装置１２０は、第２ネットワークであるＷＡＮ１０２を介して、インターネット１０３に接続されたクラウドサーバ１０４と通信を行う。ここで、ＬＡＮ１０１は、有線又は無線の形態がある。ＷＡＮ１０２も有線又は無線の形態がある。なお、ゲートウェイ装置１２０は、ＬＡＮ１０１及びＷＡＮ１０２との間のプロトコル変換を行う装置である。
図示されてはいないが、ＩｏＴデバイス１１０は、ＬＡＮ１０１以外に、シリアルインタフェース等の汎用の通信インタフェースで、ゲートウェイ装置１２０と通信する構成でもよい。
【００１７】
クラウドサーバ１０４は、インターネット１０３上で、データの共有及び管理、ストレージ、アプリケーションの実行環境、仮想マシン、又は、仮想ネットワーク等のプラットフォームを提供する。
【００１８】
ネットワークシステム１００では、ゲートウェイ装置１２０は、ＬＡＮ１０１を介して、ＩｏＴデバイス１１０との通信に適した方式で通信を行う。また、ゲートウェイ装置１２０は、ＷＡＮ１０２を介してクラウドサーバ１０４との通信に適した方式で通信を行う。
【００１９】
ＬＡＮ１０１及びＷＡＮ１０２には、ゲートウェイ装置１２０、ＩｏＴデバイス１１０及びクラウドサーバ１０４によりもたらされるトラフィック１０５Ａ、１０５Ｂが発生している。
【００２０】
ここで、ネットワークシステム１００にとって、正規の運用とは関係のないトラフィックとして、マルウェア等の感染によって不正な動作をしている第１不正機器１０６Ａによってもたらされる不正トラフィック１０７Ａ、及び、第２不正機器１０６Ｂによってもたらされる不正トラフィック１０７Ｂが、ネットワークシステム１００に発生するものとする。
【００２１】
次にゲートウェイ装置１２０の詳細について説明する。
図２は、ゲートウェイ装置１２０の構成を概略的に示すブロック図である。
ゲートウェイ装置１２０は、第１通信インタフェース部（以下、第１通信ＩＦ部という）１２１と、第２通信インタフェース部（以下、第２通信ＩＦ部という）１２２と、第１通信インタフェース設定部（以下、第１通信ＩＦ設定部という）１２３と、第２通信インタフェース設定部（以下、第２通信ＩＦ設定部という）１２４と、制御部１２５と、転送部１３０と、異常検知部１４０とを備える。
【００２２】
第１通信ＩＦ部１２１は、ＬＡＮ１０１と通信を行うインタフェースである。ここで、第１通信ＩＦ部１２１は、ＬＡＮ１０１から入力される全てのパケットをキャプチャできる機能を実行するモードであるプロミスキャスモードに対応している。第１通信ＩＦ部１２１がプロミスキャスモードで動作すると、第１通信ＩＦ部１２１は、ＬＡＮ１０１側の全てのトラフィックを第１通信ＩＦ部１２１に取り込む。
言い換えると、第１通信ＩＦ部１２１は、動作モードとして、予め定められた宛先のパケットを取り込む第１モードである通常モード、及び、宛先に係わらず全てのパケットを取り込む第２モードであるプロミスキャスモードを備える。通常モードでは、自装置を少なくとも宛先の一つとしていると認められるパケット、例えば、宛先が自装置であるパケット、並びに、ブロードキャスト及びマルチキャストのように宛先に自装置が含まれると判断することができるパケットのみが取り込まれる。
【００２３】
第２通信ＩＦ部１２２は、ＷＡＮ１０２と通信を行うインタフェースである。ここで、第２通信ＩＦ部１２２は、ＷＡＮ１０２から入力される全てのパケットをキャプチャできる機能を実行するモードであるプロミスキャスモードに対応している。第２通信ＩＦ部１２２がプロミスキャスモードで動作すると、第２通信ＩＦ部１２２は、ＷＡＮ１０２側の全てのトラフィックを第２通信ＩＦ部１２２に取り込む。
言い換えると、第２通信ＩＦ部１２２も、動作モードとして、予め定められた宛先のパケットを取り込む第１モードである通常モード、及び、宛先に係わらず全てのパケットを取り込む第２モードであるプロミスキャスモードを備える。
【００２４】
第１通信ＩＦ設定部１２３は、第１通信ＩＦ部１２１にプロミスキャスモードを設定、又は、第１通信ＩＦ部１２１からプロミスキャスモードを解除する第１モード設定部である。プロミスキャスモードが解除された場合には、第１通信ＩＦ部１２１は、予め定められた宛先のパケットを取り込む通常モードで動作する。即ち、プロミスキャスモードが解除された場合には、第１通信ＩＦ部１２１には、通常モードが設定されたとみなすことができる。
第２通信ＩＦ設定部１２４は、第２通信ＩＦ部１２２にプロミスキャスモードを設定、又は、第２通信ＩＦ部１２２からプロミスキャスモードを解除する第２モード設定部である。プロミスキャスモードが解除された場合には、第２通信ＩＦ部１２２は、予め定められた宛先のパケットを取り込む通常モードで動作する。上記同様、プロミスキャスモードが解除された場合には、第２通信ＩＦ部１２２には、通常モードが設定されたとみなすことができる。
制御部１２５は、ゲートウェイ装置１２０での全体の処理を制御する。
【００２５】
転送部１３０は、第１通信ＩＦ部１２１を介してＬＡＮ１０１側の通信を制御するとともに、第２通信ＩＦ部１２２を介して、ＷＡＮ１０２側との通信を制御する。例えば、転送部１３０は、第１通信ＩＦ部１２１及び第２通信ＩＦ部１２２で取り込まれたパケットを、その宛先等に応じて、プロトコルを変換して転送する処理、及び、廃棄する処理等の処理を行う。
転送部１３０は、受信処理部１３１と、パケット処理部１３２と、送信処理部１３３とを備える。
【００２６】
第１通信ＩＦ部１２１で取り込まれたパケットは、受信処理部１３１に与えられる。受信処理部１３１に与えられたパケットの内、ゲートウェイ装置１２０が最終的な宛先となるパケットは、制御部１２５に与えられ、その他のパケットは、パケット処理部１３２に与えられる。
【００２７】
パケット処理部１３２は、予め指定された転送及び廃棄のルールに従い、受信処理部１３１から与えられたパケットの送信元又は宛先等の情報に基づいて、そのパケットの転送又は廃棄を行う。転送対象のパケットは、送信処理部１３３へ渡される。転送対象以外のパケットは、廃棄される。
【００２８】
送信処理部１３３は、転送先に応じて、パケット処理部１３２から与えられたパケットに対して送信ＮＡＴ（Ｎｅｔｗｏｒｋ  Ａｄｄｒｅｓｓ  Ｔｒａｎｓｌａｔｉｏｎ）等の処理を施す。処理されたパケットは、転送先へ向けて、第２通信ＩＦ部１２２からＷＡＮ１０２へ出力される。
【００２９】
同様に、第２通信ＩＦ部１２２を介して受信されるＷＡＮ１０２側のパケットは、受信処理部１３１にて、受信ＮＡＴ（Ｎｅｔｗｏｒｋ  Ａｄｄｒｅｓｓ  Ｔｒａｎｓｌａｔｉｏｎ）等の処理が施され、処理されたパケットは、パケット処理部１３２へ渡される。なお、ゲートウェイ装置１２０が最終的な宛先となるパケットは、制御部１２５に与えられる。
【００３０】
パケット処理部１３２は、予め指定された転送廃棄のルールに従い、受信処理部１３１から与えられたパケットの送信元又は宛先等の情報に基づいて、そのパケットの転送又は廃棄を行う。
【００３１】
送信処理部１３３は、転送対象のパケットを第１通信ＩＦ部１２１に与えて、ＬＡＮ１０１に出力させる。
なお、ゲートウェイ装置１２０が最終的な送信元となるパケットは、制御部１２５から送信処理部１３３へ渡され、送信処理部１３３は、宛先に応じて、そのパケットを第１通信ＩＦ部１２１又は第２通信ＩＦ部１２２に与える。
【００３２】
異常検知部１４０は、ＬＡＮ１０１又はＷＡＮ１０２のトラフィックの異常を検知する。例えば、異常検知部１４０は、第１通信ＩＦ部１２１及び第２通信ＩＦ部１２２で取り込まれたパケットの数から、ＬＡＮ１０１又はＷＡＮ１０２のトラフィックの異常を検知する。
異常検知部１４０は、キャプチャ部１４１と、トラフィック情報集積部１４２と、トラフィック情報記憶部１４３と、トラフィック基準情報記憶部１４４と、トラフィック解析部１４５と、アラート出力部１４６とを備える。
【００３３】
キャプチャ部１４１は、ＬＡＮ１０１及びＷＡＮ１０２で取り込まれたパケットを取得し、取得されたパケットをトラフィック情報集積部１４２に与える。
トラフィック情報集積部１４２は、キャプチャ部１４１から与えられたパケットをトラフィック情報に格納する。そして、トラフィック情報集積部１４２は、トラフィック情報に基づき、トラフィック統計情報を都度、最新の状態に更新する。
【００３４】
トラフィック情報記憶部１４３は、トラフィック情報及びトラフィック統計情報を記憶する記憶部である。
トラフィック情報は、パケットを、キャプチャした時刻順に集積した情報である。
トラフィック統計情報は、トラフィック情報として集積されているパケットから得られる複数の要素を含む統計情報である。例えば、パケットから得られる情報としては、宛先ＭＡＣアドレス、送信元ＭＡＣアドレス、宛先ＩＰアドレス、送信元ＩＰアドレス、ポート番号、プロトコル番号又はパケット長等が得られる。
【００３５】
図３は、トラフィック情報の一例を示す概略図である。
図３に示されているトラフィック情報１５０は、日時列１５０ａと、パケット列１５０ｂとを備えるテーブル形式の情報である。
日時列１５０ａは、同じ行のパケット列１５０ｂに格納されたパケットの受信された日付及び時刻を格納する。
パケット列１５０ｂは、第１通信ＩＦ部１２１及び第２通信ＩＦ部１２２で取り込まれたパケットを格納する。
【００３６】
図４は、トラフィック統計情報の一例を示す概略図である。
図４に示されているトラフィック統計情報１５１は、時間帯列１５１ａと、通信頻度列１５１ｂと、宛先列１５１ｃと、送信元列１５１ｄとを備えるテーブル形式の情報である。
時間帯列１５１ａは、日付毎に、予め定められた時間帯を格納する。実施の形態１においては、日付毎に一時間の時間帯が、一つの行に格納される。
通信頻度列１５１ｂは、時間帯列１５１ａで特定される日付及び時間帯における、宛先列１５１ｃで特定される宛先へ、送信元列１５１ｄで特定される送信元から送信されたパケットの数を格納する。
宛先列１５１ｃは、パケットの宛先となるＩＰアドレスを格納する。
送信元列１５１ｄは、パケットの送信元となるＩＰアドレスを格納する。
【００３７】
なお、上記例では、宛先をＩＰアドレス、送信元をＩＰアドレス、及び、通信頻度をパケット数で説明したが、これら以外のトラフィック統計情報を使用してもよい。
例えば、宛先ＭＡＣアドレスが宛先列１５１ｃ、送信元ＭＡＣアドレスが送信元列１５１ｄに格納されていてもよい。通信頻度列１５１ｂは、例えば、パケット長の総和、パケット長の総和と時間とにより求められるビットレート、又は、パケット数でもよい。
【００３８】
また、図４では、宛先、送信元及び通信頻度の例を示したが、プロトコル番号及びポート番号まで指定した上で通信頻度列１５１ｂが定義されてもよい。その例を、図５に示す。例えば、ｈｔｔｐ（Ｈｙｐｅｒｔｅｘｔ  Ｔｒａｎｓｆｅｒ  Ｐｒｏｔｏｃｏｌ）の場合であれば、ＴＣＰ（Ｔｒａｎｓｍｉｓｓｉｏｎ  Ｃｏｎｔｒｏｌ  Ｐｒｏｔｏｃｏｌ）のプロトコル番号は６であり、ポート番号は８０番である。また、ｆｔｐ（Ｆｉｌｅ  Ｔｒａｎｓｆｅｒ  Ｐｒｏｔｏｃｏｌ）の場合であれば、ＴＣＰのプロトコル番号は６であり、ポート番号は２０番である。これらのように定義した上で、通信頻度が指定されてもよい。通信頻度列１５１ｂは、例えば、パケット長の総和、パケット長の総和と時間とにより求められるビットレート、又は、パケット数でもよい。
【００３９】
図２に戻り、トラフィック情報集積部１４２は、トラフィック情報１５０に基づいて、トラフィック情報に格納されているパケットの宛先及び送信元の組み合わせ毎に、トラフィック情報１５０に格納されているパケットの数を、予め定められた時間帯毎に集計して、その結果をトラフィック統計情報１５１に格納する。
【００４０】
トラフィック基準情報記憶部１４４は、トラフィック基準情報を記憶する。
トラフィック基準情報は、予め記憶されている情報であり、ＬＡＮ１０１及びＷＡＮ１０２のトラフィックの状態を診断する際の基準となる情報である。トラフィック基準情報は、複数の要素を含んでおり、トラフィック基準情報に含まれている要素と同じ要素を含むように、トラフィック統計情報１５１が定義されている。
【００４１】
図６は、トラフィック基準情報の一例を示す概略図である。
図６に示されているトラフィック基準情報１５２は、時間帯列１５２ａと、通信頻度列１５２ｂと、宛先列１５２ｃと、送信元列１５２ｄとを備えるテーブル形式の情報である。
時間帯列１５２ａは、日付毎に、予め定められた時間帯を格納する。実施の形態１においては、日付毎に一時間の時間帯が、一つの行に格納される。
通信頻度列１５２ｂは、時間帯列１５２ａで特定される日付及び時間帯における、宛先列１５２ｃで特定される宛先へ、送信元列１５２ｄで特定される送信元からの通信頻度を格納する。ここでは、通信頻度はパケット数に置き換えて定義する。
宛先列１５２ｃは、パケットの宛先となるＩＰアドレスを格納する。
送信元列１５２ｄは、パケットの送信元となるＩＰアドレスを格納する。
トラフィック基準情報１５２は、各々の行に、対応する要素において正常とみなす基準が定義されている。この基準から逸脱するものが異常とみなされる。
【００４２】
なお、上記例では、宛先をＩＰアドレス、送信元をＩＰアドレス、及び、通信頻度をパケット数で説明したが、これら以外のトラフィック統計情報を使用してもよい。
例えば、宛先ＭＡＣアドレスが宛先列１５２ｃ、送信元ＭＡＣアドレスが送信元列１５２ｄに格納されていてもよい。通信頻度列１５２ｂは、例えば、パケット長の総和、パケット長の総和と時間とにより求められるビットレート、又は、パケット数でもよい。
【００４３】
また、図６では、宛先、送信元及び通信頻度の例を示したが、図５と同様に、プロトコル番号及びポート番号まで指定した上で通信頻度列１５２ｂが定義されてもよい。その例を、図７に示す。例えば、ｈｔｔｐの場合であれば、ＴＣＰのプロトコル番号は６であり、ポート番号は８０番である。また、ｆｔｐ（Ｆｉｌｅ  Ｔｒａｎｓｆｅｒ  Ｐｒｏｔｏｃｏｌ）の場合であれば、ＴＣＰのプロトコル番号は６であり、ポート番号は２０番である。これらのように定義した上で、通信頻度が指定されてもよい。通信頻度列１５２ｂは、例えば、パケット長の総和、パケット長の総和と時間とにより求められるビットレート、又は、パケット数でもよい。
【００４４】
図２に戻り、トラフィック解析部１４５は、トラフィック統計情報１５１をトラフィック基準情報１５２と比較することで、トラフィックを解析して、トラフィックの異常を検知する。
アラート出力部１４６は、トラフィック解析部１４５の解析結果に基づき、異常が検知された場合に、警報を発出する。例えば、アラート出力部１４６は、送信処理部１３３に、予め定められた宛先に、予め定められたパケット（警報パケット）を、第１通信ＩＦ部１２１又は第２通信ＩＦ部１２２から送信させることにより、警報を発出すればよい。なお、アラート出力部１４６は、ゲートウェイ装置１２０の予め定められた警報ランプ（図示せず）を点灯させることにより、警報を発出してもよい。
【００４５】
以上に記載された第１通信ＩＦ設定部１２３、第２通信ＩＦ設定部１２４、制御部１２５、転送部１３０及び異常検知部１４０の一部又は全部は、例えば、図８（Ａ）に示されているように、単一回路、複合回路、プログラム化したプロセッサ、並列プログラム化したプロセッサ、ＡＳＩＣ（Ａｐｐｌｉｃａｔｉｏｎ  Ｓｐｅｃｉｆｉｃ  Ｉｎｔｅｇｒａｔｅｄ  Ｃｉｒｃｕｉｔｓ）又はＦＰＧＡ（Ｆｉｅｌｄ  Ｐｒｏｇｒａｍｍａｂｌｅ  Ｇａｔｅ  Ａｒｒａｙ）等の処理回路１０で構成することができる。
【００４６】
また、第１通信ＩＦ設定部１２３、第２通信ＩＦ設定部１２４、制御部１２５、転送部１３０及び異常検知部１４０の一部は、例えば、図８（Ｂ）に示されているように、メモリ１１と、メモリ１１に格納されているプログラムを実行するＣＰＵ（Ｃｅｎｔｒａｌ  Ｐｒｏｃｅｓｓｉｎｇ  Ｕｎｉｔ）等のプロセッサ１２とにより構成することができる。このようなプログラムは、ネットワークを通じて提供されてもよく、また、記録媒体に記録されて提供されてもよい。即ち、このようなプログラムは、例えば、プログラムプロダクトとして提供されてもよい。
【００４７】
なお、第１通信ＩＦ部１２１及び第２通信ＩＦ部１２２は、ＮＩＣ（Ｎｅｔｗｏｒｋ  Ｉｎｔｅｒｆａｃｅ  Ｃａｒｄ）等の通信インタフェース（図示せず）により実現することができる。
【００４８】
図９は、第１通信ＩＦ設定部１２３の処理（モード設定処理）を示すフローチャートである。
まず、第１通信ＩＦ設定部１２３は、プロミスキャスモードの指定があるか否かを判断する（Ｓ１０）。例えば、予め定められたメモリ（図示せず）に、プロミスキャスモードの指定の有無を示すフラグが記憶されており、第１通信ＩＦ設定部１２３は、そのフラグを確認することで、プロミスキャスモードの指定があるか否かを判断すればよい。プロミスキャスモードの指定がある場合（Ｓ１０でＹｅｓ）には、処理はステップＳ１１に進み、プロミスキャスモードの指定がない場合（Ｓ１０でＮｏ）には、処理はステップＳ１１に進む。
【００４９】
ステップＳ１１では、第１通信ＩＦ設定部１２３は、第１通信ＩＦ部１２１にプロミスキャスモードを設定する。
一方、ステップＳ１２では、第１通信ＩＦ設定部１２３は、第１通信ＩＦ部１２１からプロミスキャスモードを解除する。これにより、第１通信ＩＦ部１２１は通常モードで動作する。
【００５０】
実施の形態１では、プロミスキャスモードの指定は、例えば、ゲートウェイ装置１２０の運用管理者により行われる、又は、クラウドサーバ１０４等のサーバから行われる。例えば、運用管理者又はサーバは、トラフィック負荷等を考慮して、図示しないボタン等の入力装置（入力部）を用いて、予め定められたメモリに記憶されているフラグの値を変えることで、プロミスキャスモードの指定の有無を変えることができる。
【００５１】
なお、図９は、第１通信ＩＦ設定部１２３の処理を示したが、第２通信ＩＦ設定部１２４も、第２通信ＩＦ部１２２に対して、同様の処理を行う。
【００５２】
次に、図１０及び図１１を参照して、異常検知部１４０の動作について説明する。
実施の形態１に係るゲートウェイ装置１２０では、ＬＡＮ１０１のトラフィックとＷＡＮ１０２のトラフィックのどちらの場合でも、異常検知部１４０の処理は同じであるため、以下ではＬＡＮ１０１のトラフィックを例に説明する。
【００５３】
異常検知部１４０では、２つの処理が並列に実施される。１つめの処理は、図１０のフローチャートで示される処理であり、もう１つの処理は、図１１のフローチャートで示される処理である。
【００５４】
図１０は、キャプチャ部１４１及びトラフィック情報集積部１４２の処理を示すフローチャートである。
まず、キャプチャ部１４１は、第１通信ＩＦ部１２１がパケットを取り込むまで待機する待機状態となっている（Ｓ２０）。
そして、第１通信ＩＦ部１２１がパケットを取り込むと（Ｓ２１でＹｅｓ）、処理はステップＳ２２に進む。
【００５５】
ステップＳ２２では、キャプチャ部１４１は、第１通信ＩＦ部１２１が取り込んだパケットを取得し、取得されたパケットをトラフィック情報集積部１４２に与える。
そして、トラフィック情報集積部１４２は、トラフィック情報記憶部１４３から、トラフィック情報１５０及びトラフィック統計情報１５１を読み出す（Ｓ２３）。
【００５６】
トラフィック情報集積部１４２は、ステップＳ２２で与えられたパケットに基づいて、トラフィック情報１５０及びトラフィック統計情報１５１を更新する（Ｓ２４）。例えば、トラフィック情報集積部１４２は、トラフィック情報１５０に新たな行（レコード）を追加して、ステップＳ２２で与えられたパケット及びそのパケットの受信日時を格納する。さらに、トラフィック情報集積部１４２は、トラフィック統計情報１５１において、トラフィック情報１５０に格納された受信日時を含む時間帯、並びに、トラフィック情報１５０に格納されたパケットの宛先及び送信元に対応する行を特定する。そして、トラフィック情報集積部１４２は、特定された行の通信頻度列１５１ｂに１を加算する。なお、トラフィック情報集積部１４２は、トラフィック統計情報１５１にそのような行が未だ存在しない場合には、そのような行を追加して、追加された行の通信頻度列１５１ｂに１を格納する。
【００５７】
次に、トラフィック情報集積部１４２は、トラフィック情報記憶部１４３に、ステップＳ２４で更新されたトラフィック情報１５０及びトラフィック統計情報１５１を記憶させる（Ｓ２５）。
そして、キャプチャ部１４１は、第１通信ＩＦ部１２１が次のパケットを取り込んでいるか否かを判断する（Ｓ２６）。次のパケットが取り込まれている場合（Ｓ２６でＹｅｓ）には、処理はステップＳ２２に戻り、トラフィック情報集積部１４２は、次のパケットに基づいて処理を繰り返す。一方、次のパケットが取り込まれていない場合（Ｓ２６でＮｏ）には、処理はステップＳ２０に戻り、トラフィック情報集積部１４２は、次のパケットが取り込まれるまで、待機する。
【００５８】
図１１は、トラフィック解析部１４５及びアラート出力部１４６の処理を示すフローチャートである。
まず、トラフィック解析部１４５は、トラフィック解析の実行契機となるまで待機する待機状態となっている（Ｓ３０）。
そして、実行契機になった場合（Ｓ３１でＹｅｓ）には、処理はステップＳ３２に進む。
【００５９】
ステップＳ３２では、トラフィック解析部１４５は、トラフィック基準情報記憶部１４４からトラフィック基準情報１５２を読み出す。
また、トラフィック解析部１４５は、トラフィック情報記憶部１４３からトラフィック統計情報１５１を読み出す（Ｓ３３）。
【００６０】
そして、トラフィック解析部１４５は、トラフィック統計情報１５１をトラフィック基準情報１５２と比較し、トラフィック統計情報１５１から特定されるトラフィックの状態が逸脱している条件がトラフィック基準情報１５２にあるか否かを判断する（Ｓ３４）。ここで、トラフィック解析部１４５は、トラフィック統計情報１５１に格納されている通信頻度（ここでは、パケット数）が、そのまま、トラフィック基準情報１５２と比較することができない場合には、トラフィック基準情報１５２と比較できるように、トラフィック基準情報１５２で定義されている、宛先及び送信元の組み合わせに対応させて、トラフィック統計情報１５１に格納されている通信頻度を時間帯毎に集計する。例えば、図６に示されているトラフィック基準情報１５２の宛先列１５２ｃに格納されている「Ｏｔｈｅｒ」は、他の行に格納されている「クラウドサーバ」及び「第１ＩｏＴデバイス」以外の装置が全て含まれる意味であるため、トラフィック解析部１４５は、「クラウドサーバ」及び「第１ＩｏＴデバイス」以外の装置が宛先となっている通信頻度を集計する必要がある。
そして、逸脱している条件がある場合（Ｓ３４でＹｅｓ）には、処理はステップＳ３５に進み、逸脱している条件がない場合（Ｓ３４でＮｏ）には、処理はステップＳ３６に進む。
なお、複数の逸脱する条件があってもよい。例えば、図６のように、宛先及び送信元の組み合わせに対応させて、トラフィック統計情報で確認後、図７のように、プロトコル番号及びポート番号まで確認してもよい。
【００６１】
ステップＳ３５では、トラフィック解析部１４５は、トラフィックに異常があるとみなし、アラート出力部１４６へ異常が検知されたことを通知する。アラート出力部１４６は、トラフィック解析部１４５からの通知を受け、警報を発出する。なお、警報は、例えば、システム管理者や、クラウドサーバ１０４の警報を処理するアプリケーション等に宛てて報知される。そして、処理はステップＳ３６に進む。
【００６２】
ステップＳ３６では、トラフィック解析部１４５は、次のトラフィック解析の実行契機を設定する。そして、処理はステップＳ３０に戻り、トラフィック解析部１４５は、次のトラフィック解析の実行契機を迎えるまで待機する。例えば、トラフィック解析部１４５は、次にトラフィック解析を行う日時を、実行契機として設定することができる。次にトラフィック解析を行う日時は、予め定められた時間を空けて設定されてもよく、トラフィック解析の結果に応じて、空ける時間を変化させて設定されてもよい。例えば、異常が検出された場合には、次にトラフィック解析が行われるまでの時間が短くされてもよい。
【００６３】
図１２は、トラフィック基準情報１５２及びトラフィック統計情報１５１の比較例を示すグラフである。
図１２に示されている実線ＵＬ１及びＵＬ３は、図６に示されているトラフィック基準情報１５２の行Ｌ２１に示されている通信頻度の上限を示し、破線ＤＬ１及びＤＬ３は、その行Ｌ２２に示されている通信頻度の下限を示している。
また、実線ＵＬ２は、トラフィック基準情報１５２の行Ｌ２１に示されている通信頻度の上限を示し、破線ＤＬ２は、その行Ｌ２１に示されている通信頻度の下限を示している。
さらに、実線ＵＬ４は、トラフィック基準情報１５２の行Ｌ２３に示されている通信頻度の上限を示している。
【００６４】
図１２に示されている点Ｐ１は、図４に示されているトラフィック統計情報１５１の行Ｌ１１に示されている通信頻度を示している。
点Ｐ２は、トラフィック統計情報１５１の行Ｌ１２に示されている通信頻度を示している。
点Ｐ３は、トラフィック統計情報１５１の行Ｌ１３に示されている通信頻度を示している。
点Ｐ４は、トラフィック統計情報１５１の行Ｌ１４に示されている通信頻度を示している。
点Ｐ５は、トラフィック統計情報１５１の行Ｌ１５に示されている通信頻度を示している。
【００６５】
現在の時刻を２０１６年１２月１９日月曜日の２１時台であるとする。それまでに、トラフィック情報とトラフィック統計情報は、定期的に更新が行われている状態である（図１０）。
その時刻にトラフィック解析部１４５が、ＬＡＮ１０１のトラフィック解析を実施する契機を迎えたとする。この時、図１１のフローチャートのステップＳ３２からＳ３４の処理が実施されるが、トラフィック解析部１４５は、ＬＡＮ１０１のトラフィック統計情報１５１に含まれる行Ｌ１５に対応するトラフィック（Ｐ５）が、トラフィック基準情報１５２の行Ｌ２３に格納されている条件（ＵＬ４）に対して、大きく逸脱するものであることを検知することができる。
【００６６】
ここで、トラフィック解析部１４５は、図１１のステップＳ３６において、次のトラフィック解析の実行契機までの期間が短くなるように設定することにより、逸脱を速やかに検知することが可能である。
【００６７】
以上のように、実施の形態１におけるゲートウェイ装置１２０によれば、ゲートウェイ装置１２０が接続されるネットワークのトラフィックの特徴を予め定義したトラフィック基準情報と、ネットワークのトラフィックの観測結果であるトラフィック統計情報に基づいて、トラフィックの解析を行う異常検知部１４０を備えたので、トラフィックの観測結果に逸脱した傾向が認められた場合、異常を検出することができる。
【００６８】
また、実施の形態１では、第１通信ＩＦ部１２１及び第２通信ＩＦ部１２２におけるプロミスキャスモードの設定を解除することができるため、ゲートウェイ装置１２０の負荷に応じて、第１通信ＩＦ部１２１及び第２通信ＩＦ部１２２におけるプロミスキャスモードの設定を解除することで、ゲートウェイ装置１２０の負荷を軽減することができる。
【００６９】
なお、実施の形態１では、ネットワークキャプチャ方法がゲートウェイ装置１２０に実装されているが、それ以外の装置に実装されてもよい。例えば、外部のＬ２ＳＷ（Ｌａｙｒｅ  ２  Ｓｗｉｔｃｈ）でパケットをミラーリングしているネットワークキャプチャ装置等に実施の形態１に係るネットワークキャプチャ方法を実装してもよい。
【００７０】
実施の形態２．
次に、実施の形態２について説明する。実施の形態１のゲートウェイ装置１２０において、トラフィック負荷が高い状況では、転送部１３０及び異常検知部１４０の処理負荷も高い状態となる。このため、実施の形態２では、転送部１３０及び異常検知部１４０の処理負荷を容易に軽減できるようにする。
【００７１】
図１に示されているように、実施の形態２に係るネットワークシステム２００は、第１ＩｏＴデバイス１１０Ａと、第２ＩｏＴデバイス１１０Ｂと、第３ＩｏＴデバイス１１０Ｃと、ゲートウェイ装置２２０とを備える。
ここで、第１ＩｏＴデバイス１１０Ａ、第２ＩｏＴデバイス１１０Ｂ及び第３ＩｏＴデバイス１１０Ｃについては、実施の形態１と同様である。
実施の形態２に係るネットワークキャプチャ方法は、ゲートウェイ装置２２０で行われる。
【００７２】
ゲートウェイ装置２２０は、ＬＡＮ１０１を介して、ＩｏＴデバイス１１０と通信を行う。また、ゲートウェイ装置２２０は、ＷＡＮ１０２を介して、インターネット１０３に接続されたクラウドサーバ１０４と通信を行う。ここで、ＬＡＮ１０１、ＷＡＮ１０２及びクラウドサーバ１０４は、実施の形態１と同様である。
【００７３】
図２に示されているように、実施の形態２におけるゲートウェイ装置２２０は、第１通信ＩＦ部１２１と、第２通信ＩＦ部１２２と、第１通信ＩＦ設定部１２３と、第２通信ＩＦ設定部１２４と、制御部１２５と、転送部１３０と、異常検知部２４０とを備える。
実施の形態２におけるゲートウェイ装置２２０は、異常検知部２４０を除いて、実施の形態１におけるゲートウェイ装置１２０と同様である。
【００７４】
異常検知部２４０は、ＬＡＮ１０１又はＷＡＮ１０２のトラフィックの異常を検知する。
異常検知部２４０は、キャプチャ部１４１と、トラフィック情報集積部１４２と、トラフィック情報記憶部１４３と、トラフィック基準情報記憶部１４４と、トラフィック解析部２４５と、アラート出力部１４６とを備える。
実施の形態２における異常検知部２４０は、トラフィック解析部２４５を除いて、実施の形態１における異常検知部１４０と同様である。
【００７５】
トラフィック解析部２４５は、実施の形態１のトラフィック解析部１４５と同様の処理を行うほか、トラフィック負荷に応じて、プロミスキャスモードの指定の有無を変える処理を行う。
言い換えると、トラフィック解析部２４５は、トラフィック負荷に応じて、第１通信ＩＦ部１２１及び第２通信ＩＦ部１２２に設定する動作モードである適用モードとして、通常モード及びプロミスキャスモードの何れか一方を選択する。
【００７６】
図１３は、トラフィック解析部２４５及びアラート出力部１４６の処理を示すフローチャートである。
図１３に示されているステップＳ４０〜Ｓ４５までの処理は、図１１に示されているステップＳ３０〜Ｓ３５までの処理と同様である。但し、図１３のステップＳ４５の後は、処理はステップＳ４６に進む。
【００７７】
ステップＳ４６では、トラフィック解析部２４５は、ＬＡＮ１０１及びＷＡＮ１０２のトラフィック負荷が予め定められた負荷を示す閾値を超えているか否かを判断する。ここで、トラフィック負荷については、例えば、ＣＰＵ使用率（％）、メモリ使用率（％）又はトラフィック量（Ｍｂｐｓ）等、転送部１３０の処理負荷を示すことのできる物理量を用いることができる。より具体的には、ＣＰＵがメモリを利用することにより、転送部１３０が実現されている場合には、そのＣＰＵにおけるＣＰＵ使用率（％）又はメモリ使用率（％）によりトラフィック負荷を求めることができる。
そして、トラフィック負荷が予め定められた閾値を超えている場合（Ｓ４６でＹｅｓ）には、処理はステップＳ４７に進み、トラフィック負荷が予め定められた閾値を超えていない場合（Ｓ４６でＮｏ）には、処理はステップＳ４８に進む。
【００７８】
ステップＳ４７では、トラフィック解析部２４５は、間欠的にキャプチャするキャプチャ方法を選択する。そして、処理はステップＳ４９に進む。
一方、ステップＳ４８では、トラフィック解析部２４５は、常時キャプチャするキャプチャ方法を選択する。そして、処理はステップＳ４９に進む。
【００７９】
ステップＳ４９では、トラフィック解析部２４５は、プロミスキャスモードの指定処理を実行する。この処理については、図１４を用いて説明する。
そして、トラフィック解析部２４５は、次のトラフィック解析の実行契機を設定する（Ｓ５０）。ここでの処理は、図１１のステップＳ３６での処理と同様である。そして、処理はステップＳ４０に戻る。
【００８０】
図１４は、トラフィック解析部２４５が実行するプロミスキャスモードの指定処理を示すフローチャートである。
まず、トラフィック解析部２４５は、間欠的にキャプチャするキャプチャ方法を選択したか否かを判断する（Ｓ６０）。間欠的にキャプチャするキャプチャ方法が選択されている場合（Ｓ６０でＹｅｓ）には、処理はステップＳ６１に進み、間欠的にキャプチャするキャプチャ方法が選択されていない場合（Ｓ６０でＮｏ）には、処理はステップＳ６５に進む。
【００８１】
ステップＳ６１では、トラフィック解析部２４５は、プロミスキャスモードを指定しない。例えば、第１通信ＩＦ設定部１２３及び第２通信ＩＦ設定部１２４が参照するメモリ（図示せず）に記憶されているフラグの値を、プロミスキャスモードが指定されていないことを示す値にする。言い換えると、トラフィック解析部２４５は、第１通信ＩＦ部１２１及び第２通信ＩＦ部１２２に設定する動作モードである適用モードとして、通常モードを選択したことになる。
【００８２】
そして、第１通信ＩＦ設定部１２３又は第２通信ＩＦ設定部１２４は、図９に示されているモード設定処理を行い、第１通信ＩＦ部１２１及び第２通信ＩＦ部１２２からプロミスキャスモードを解除する（Ｓ６２）。
【００８３】
次に、トラフィック解析部２４５は、予め定められた待機時間を設定し（Ｓ６３）、この予め定められた待機時間が経過した場合（Ｓ６４でＹｅｓ）には、フローを終了する。
【００８４】
一方、ステップＳ６０において、間欠的にキャプチャするキャプチャ方法が選択されていない場合（Ｓ６０でＮｏ）には、処理はステップＳ６５に進み、トラフィック解析部２４５は、プロミスキャスモードを指定する。例えば、第１通信ＩＦ設定部１２３及び第２通信ＩＦ設定部１２４が参照するメモリ（図示せず）に記憶されているフラグの値を、プロミスキャスモードが指定されていることを示す値にする。言い換えると、トラフィック解析部２４５は、第１通信ＩＦ部１２１及び第２通信ＩＦ部１２２に設定する動作モードである適用モードとして、プロミスキャスモードを選択したことになる。
【００８５】
そして、第１通信ＩＦ設定部１２３又は第２通信ＩＦ設定部１２４は、図９に示されているモード設定処理を行い、第１通信ＩＦ部１２１及び第２通信ＩＦ部１２２にプロミスキャスモードを設定する（Ｓ６６）。そして、フローは終了する。なお、通常モードは予め定められた宛先のパケットを取り込むと定義したが、宛先に加えてプロトコル番号及びポート番号を指定して取り込むことも可能である。これにより、間欠の効果がさらに期待できる。
【００８６】
以上のように、実施の形態２によれば、ゲートウェイ装置２２０のトラフィック解析部２４５が、図１３及び図１４に示されている処理を行うことで、トラフィック負荷の状況に応じて、プロミスキャスモードの有効無効が切り替えられる。これにより、トラフィックを常時キャプチャするか、間欠的にキャプチャするかが制御され、トラフィック負荷の状況に応じて、転送部１３０及び異常検知部２４０の処理負荷を調整することができるようになる。
【００８７】
実施の形態３．
図１５は、実施の形態３に係るネットワークシステム３００の構成を概略的に示すブロック図である。
ネットワークシステム３００は、第１ＩｏＴデバイス１１０Ａと、第２ＩｏＴデバイス１１０Ｂと、第３ＩｏＴデバイス１１０Ｃと、第１ゲートウェイ装置３２０Ａと、第２ゲートウェイ装置３２０Ｂとを備える。
ここで、第１ＩｏＴデバイス１１０Ａ、第２ＩｏＴデバイス１１０Ｂ及び第３ＩｏＴデバイス１１０Ｃについては、実施の形態１と同様である。
実施の形態３に係るネットワークキャプチャ方法は、第１ゲートウェイ装置３２０Ａ及び第２ゲートウェイ装置３２０Ｂで行われる。
【００８８】
第１ゲートウェイ装置３２０Ａ及び第２ゲートウェイ装置３２０Ｂは、ＬＡＮ１０１を介して、ＩｏＴデバイス１１０と通信を行う。また、第１ゲートウェイ装置３２０Ａ及び第２ゲートウェイ装置３２０Ｂは、ＷＡＮ１０２を介して、インターネット１０３に接続されたクラウドサーバ１０４と通信を行う。ここで、ＬＡＮ１０１、ＷＡＮ１０２及びクラウドサーバ１０４は、実施の形態１と同様である。
【００８９】
実施の形態３に係るネットワークシステム３００では、第１ゲートウェイ装置３２０Ａがパケットの転送処理を担当するゲートウェイ装置として機能し、第２ゲートウェイ装置３２０Ｂがトラフィックの異常検知処理を担当する検知装置として機能する。
【００９０】
図１６は、第１ゲートウェイ装置３２０Ａの構成を概略的に示すブロック図である。
第１ゲートウェイ装置３２０Ａは、第１通信ＩＦ部３２１Ａと、第２通信ＩＦ部３２２Ａと、制御部１２５Ａと、転送部１３０Ａを備える。
実施の形態３における第１ゲートウェイ装置３２０Ａの、制御部１２５Ａ及び転送部１３０Ａは、実施の形態１におけるゲートウェイ装置１２０の、制御部１２５及び転送部１３０と同様である。
なお、実施の形態３における第１ゲートウェイ装置３２０Ａは、トラフィックの異常検知処理を行わないので、実施の形態１におけるゲートウェイ装置１２０の異常検知部１４０に相当する部分を備えていない。
【００９１】
第１通信ＩＦ部３２１Ａは、ＬＡＮ１０１との間で通信を行うインタフェースである。ここで、第１通信ＩＦ部３２１Ａには、プロミスキャスモードが設定されておらず、宛先が自装置であるパケット、並びに、ブロードキャスト及びマルチキャストのように宛先に自装置が含まれると判断することができるパケットのみを取り込む通常モードが設定されている。
第２通信ＩＦ部３２２Ａは、ＷＡＮ１０２との間で通信を行うインタフェースである。ここで、第２通信ＩＦ部３２２Ａには、プロミスキャスモードが設定されておらず、宛先が自装置であるパケット、並びに、ブロードキャスト及びマルチキャストのように宛先に自装置が含まれると判断することができるパケットのみを取り込む通常モードが設定されている。
【００９２】
以上に記載された制御部１２５Ａ及び転送部１３０Ａの一部又は全部は、例えば、図８（Ａ）に示されているように、単一回路、複合回路、プログラム化したプロセッサ、並列プログラム化したプロセッサ、ＡＳＩＣ又はＦＰＧＡ等の処理回路１０で構成することができる。
【００９３】
また、制御部１２５Ａ及び転送部１３０Ａの一部は、例えば、図８（Ｂ）に示されているように、メモリ１１と、メモリ１１に格納されているプログラムを実行するＣＰＵ等のプロセッサ１２とにより構成することができる。このようなプログラムは、ネットワークを通じて提供されてもよく、また、記録媒体に記録されて提供されてもよい。即ち、このようなプログラムは、例えば、プログラムプロダクトとして提供されてもよい。
【００９４】
なお、第１通信ＩＦ部３２１Ａ及び第２通信ＩＦ部３２２Ａは、ＮＩＣ等の通信インタフェースにより実現することができる。
【００９５】
図１７は、第２ゲートウェイ装置３２０Ｂの構成を概略的に示すブロック図である。
第２ゲートウェイ装置３２０Ｂは、第１通信ＩＦ部３２１Ｂ（第３通信インターフェース部ともいう）と、第２通信ＩＦ部３２２Ｂ（第４通信インターフェース部ともいう）と、制御部１２５Ｂと、転送部３３０Ｂと、異常検知部１４０とを備える。
実施の形態３における第２ゲートウェイ装置３２０Ｂの、制御部１２５Ｂ及び異常検知部１４０は、実施の形態１におけるゲートウェイ装置１２０の制御部１２５及び異常検知部１４０と同様である。
【００９６】
第１通信ＩＦ部３２１Ｂは、ＬＡＮ１０１と通信を行うインタフェースである。ここで、第１通信ＩＦ部３２１Ｂには、プロミスキャスモードが設定されている。
第２通信ＩＦ部３２２Ｂは、ＷＡＮ１０２と通信を行うインタフェースである。ここで、第２通信ＩＦ部３２２Ｂには、プロミスキャスモードが設定されている。
【００９７】
転送部３３０Ｂは、第１通信ＩＦ部３２１Ｂを介してＬＡＮ１０１側の通信を制御するとともに、第２通信ＩＦ部３２２Ｂを介して、ＷＡＮ１０２側との通信を制御する。
転送部３３０Ｂは、受信処理部１３１Ｂと、パケット処理部３３２Ｂと、送信処理部１３３Ｂとを備える。
実施の形態３における転送部３３０Ｂの、受信処理部１３１Ｂ及び送信処理部１３３Ｂは、実施の形態１における転送部１３０の、受信処理部１３１及び送信処理部１３３と同様である。
【００９８】
実施の形態３における第２ゲートウェイ装置３２０Ｂは、パケットの転送処理を行わない。このため、パケット処理部３３２Ｂは、全てのパケットを廃棄する。
【００９９】
以上に記載された制御部１２５Ｂ、転送部３３０Ｂ及び異常検知部１４０の一部又は全部は、例えば、図８（Ａ）に示されているように、単一回路、複合回路、プログラム化したプロセッサ、並列プログラム化したプロセッサ、ＡＳＩＣ又はＦＰＧＡ等の処理回路１０で構成することができる。
【０１００】
また、制御部１２５Ｂ、転送部３３０Ｂ及び異常検知部１４０の一部は、例えば、図８（Ｂ）に示されているように、メモリ１１と、メモリ１１に格納されているプログラムを実行するＣＰＵ等のプロセッサ１２とにより構成することができる。このようなプログラムは、ネットワークを通じて提供されてもよく、また、記録媒体に記録されて提供されてもよい。即ち、このようなプログラムは、例えば、プログラムプロダクトとして提供されてもよい。
【０１０１】
なお、第１通信ＩＦ部３２１Ｂ及び第２通信ＩＦ部３２２Ｂは、ＮＩＣ等の通信インタフェースにより実現することができる。
【０１０２】
実施の形態３によれば、実施の形態１におけるゲートウェイ装置１２０の機能ブロックである転送部１３０及び異常検知部１４０を、２台のゲートウェイ装置（３２０Ａ、３２０Ｂ）が分担する。このため、トラフィック負荷が高い状態においても、転送部１３０Ａ及び異常検知部１４０が、実施の形態１の構成に比べて、より安定して動作することができる。
【０１０３】
実施の形態４．
次に、実施の形態４について説明する。実施の形態１では、トラフィック情報として、図３に示されているように、パケットの全体が集積されている。パケットの全体を集積するのは負荷が高いので、実施の形態４では、トラフィック情報として集積する情報のデータ量を削減できるようにする。
【０１０４】
図１に示されているように、実施の形態４に係るネットワークシステム４００は、第１ＩｏＴデバイス１１０Ａと、第２ＩｏＴデバイス１１０Ｂと、第３ＩｏＴデバイス１１０Ｃと、ゲートウェイ装置４２０とを備える。
ここで、第１ＩｏＴデバイス１１０Ａ、第２ＩｏＴデバイス１１０Ｂ及び第３ＩｏＴデバイス１１０Ｃについては、実施の形態１と同様である。
実施の形態４に係るネットワークキャプチャ方法は、ゲートウェイ装置４２０で行われる。
【０１０５】
ゲートウェイ装置４２０は、ＬＡＮ１０１を介して、ＩｏＴデバイス１１０と通信を行う。また、ゲートウェイ装置４２０は、ＷＡＮ１０２を介して、インターネット１０３に接続されたクラウドサーバ１０４と通信を行う。ここで、ＬＡＮ１０１、ＷＡＮ１０２及びクラウドサーバ１０４は、実施の形態１と同様である。
【０１０６】
図２に示されているように、実施の形態４におけるゲートウェイ装置４２０は、第１通信ＩＦ部１２１と、第２通信ＩＦ部１２２と、第１通信ＩＦ設定部１２３と、第２通信ＩＦ設定部１２４と、制御部１２５と、転送部１３０と、異常検知部４４０とを備える。
実施の形態２におけるゲートウェイ装置４２０は、異常検知部４４０を除いて、実施の形態１におけるゲートウェイ装置１２０と同様である。
【０１０７】
異常検知部４４０は、ＬＡＮ１０１又はＷＡＮ１０２のトラフィックの異常を検知する。
異常検知部４４０は、キャプチャ部１４１と、トラフィック情報集積部４４２と、トラフィック情報記憶部１４３と、トラフィック基準情報記憶部１４４と、トラフィック解析部１４５と、アラート出力部１４６とを備える。
実施の形態４における異常検知部４４０は、トラフィック情報集積部４４２を除いて、実施の形態１における異常検知部１４０と同様である。
【０１０８】
トラフィック情報集積部４４２は、キャプチャ部１４１から与えられたパケットの一部をトラフィック情報に格納する。そして、トラフィック情報集積部１４２は、トラフィック情報に基づき、トラフィック統計情報を都度、最新の状態に更新する。
ここで、実施の形態４におけるトラフィック情報集積部４４２が行う処理の内、トラフィック統計情報を更新する処理については、実施の形態１と同様である。
【０１０９】
図１８は、実施の形態４におけるトラフィック情報の一例を示す概略図である。
図１８に示されているトラフィック情報４５０は、日時列４５０ａと、パケット一部列４５０ｂとを備えるテーブル形式の情報である。
日時列４５０ａは、同じ行のパケット一部列４５０ｂに一部が格納されたパケットの受信された日付及び時刻を格納する。
パケット一部列４５０ｂは、第１通信ＩＦ部１２１及び第２通信ＩＦ部１２２で取り込まれたパケットの一部を格納する。ここでは、パケットの先頭２０バイト分のデータが格納される。
なお、パケットの一部については、パケットの先頭２０バイトのデータに限定されるものではなく、トラフィック統計情報を更新することができる範囲で、どの部分を集積するかを変更することができる。
【０１１０】
以上のように、実施の形態４によれば、トラフィック情報として処理するデータ量を調整でき、トラフィック負荷が高い状態においても、異常検知部４４０が、実施の形態１の構成に比べて、より安定して動作することができる。
【符号の説明】
【０１１１】
１００，２００，３００，４００  ネットワークシステム、  １１０  ＩｏＴデバイス、  １２０，２２０，４２０  ゲートウェイ装置、  ３２０Ａ  第１ゲートウェイ装置、  ３２０Ｂ  第２ゲートウェイ装置、  １２１，３２１Ａ，３２１Ｂ  第１通信ＩＦ部、  １２２，３２２Ａ，３２２Ｂ  第２通信ＩＦ部、  １２３  第１通信ＩＦ設定部、  １２４  第２通信ＩＦ設定部、  １２５，１２５Ａ，１２５Ｂ  制御部、  １３０，１３０Ａ，３３０Ｂ  転送部、  １３１，１３１Ｂ  受信処理部、  １３２，１３２Ａ，３３２Ｂ  パケット処理部、  １３３，１３３Ａ，１３３Ｂ  送信処理部、  １４０，２４０，４４０  異常検知部、  １４１  キャプチャ部、  １４２，４４２  トラフィック情報集積部、  １４３  トラフィック情報記憶部、  １４４  トラフィック基準情報記憶部、  １４５，２４５  トラフィック解析部、  １４６  アラート出力部。
【図１】
2018229931.tif 000003
【図２】
2018229931.tif 000004
【図３】
2018229931.tif 000005
【図４】
2018229931.tif 000006
【図５】
2018229931.tif 000007
【図６】
2018229931.tif 000008
【図７】
2018229931.tif 000009
【図８】
2018229931.tif 000010
【図９】
2018229931.tif 000011
【図１０】
2018229931.tif 000012
【図１１】
2018229931.tif 000013
【図１２】
2018229931.tif 000014
【図１３】
2018229931.tif 000015
【図１４】
2018229931.tif 000016
【図１５】
2018229931.tif 000017
【図１６】
2018229931.tif 000018
【図１７】
2018229931.tif 000019
【図１８】
2018229931.tif 000020
【国際調査報告】
2018229931.tif 000021
2018229931.tif 000022
2018229931.tif 000023
2018229931.tif 000024